存在しない名簿は、漏れようがない

メールアドレスも、電話番号も、パスワードも聞かない連絡アプリを作った理由。

「お客様の情報の一部が流出した可能性があります」。こういうお知らせを受け取ったことがある人は多いと思います。メールアドレス、ときには電話番号やパスワードが、知らない誰かの手に渡ってしまう。

こういうとき、会社はたいてい「もっと頑丈な鍵をかけます」と約束します。それ自体は良いことです。でも根っこの形は変わりません。会社が名簿を持っているかぎり、名簿は盗まれる可能性があります。

私は逆の答えを試したくなりました。名簿を持たない、という答えです。

LILAC が聞かないもの

LILAC は iPhone と Android の連絡アプリです。初めて開いたとき、登録画面は出ません。メールアドレスの欄も、電話番号の欄も、パスワードを決める欄もありません。

「あとで足す予定の手抜き」ではなく、最初からそういう設計です。

• メールアドレスを預からない。 聞いていないので、サーバーが破られても漏れません。
• 電話番号を預からない。 理由は同じです。SIM も、携帯会社も、国番号も要りません。
• パスワードが無い。 あなたの身分は、スマホの中で作られる「鍵」で、私たちには送られません。私たちから盗んで、ほかのサービスで使い回せるものがありません。

利用者の一覧表を思い浮かべてください。メール・電話・パスワードという列はあるのに、行はゼロ件です。

では、どうやって連絡を取るのか

招待を使います。目の前の相手に QR コードを見せるか、リンクを送る。相手がそれを開けば、すぐに話せます。相手も登録は要りません。

いちばん大事にしているのは、そのあとです。多くのアプリでは、相手を「ブロック」しても、あなたは相手の連絡先に残ったままです。LILAC で渡したのは番号ではなくリンクなので、リンクを取り消せます。取り消せばそのリンクは使えなくなり、相手から新しいメッセージが届くことはありません。

サーバーに見えているもの

メッセージは、封をした封筒に入って届きます。中継するサーバーが持つのは3つです。封をした封筒、届け先のでたらめな「私書箱の番号」、その私書箱が最後に使われた時刻。サーバーは封筒を開けられません。鍵も、連絡先の一覧も、名前も持っていません。24時間だれも触らなかった私書箱は、中の手紙ごと忘れます。

もしサーバーが丸ごと押さえられても、見つかるのは配達待ちの封筒と、でたらめな番号と、その時刻だけです。鍵も、連絡先も、読める文章もありません。

どんな中継サーバーにも避けられないことが1つあります。サーバーを置いている回線（LILAC は Cloudflare）には、つないできた相手の IP アドレス（ネット上の住所）が見えます。私たちのプログラムはそれを保存しませんが、Tor のように隠すこともしていません。

LILAC にできないこと

あとで知ってがっかりされるより、先にはっきり書きます。

• 過去の流出は取り消せません。 すでに他のサービスに渡したメールアドレスは、そのままです。LILAC にできるのは「人と連絡を取るために、もう1つ差し出す」のを無くすことだけです。
• 相手のスマホの中には手が届きません。 招待を取り消しても、すでに届いたメッセージは相手の端末に残ります。これは誰にも変えられません。
• スマホが金庫です。 鍵はスマホの安全な保管場所に、連絡先とメモはアプリ専用の場所に入っていて、画面ロックで守られます。アプリ独自のロックはありません。ロックを外したスマホを手にした人は、あなたの LILAC も手にします。
• 古い版では、連絡先とメモが端末のバックアップに入っていました。 Android 0.1.9・iPhone 1.2.1（どちらも2026年10月）からは、Google と iCloud のバックアップに入りません。それより前に入れた人は更新してください。鍵は最初からバックアップに入っていません。
• 鍵は、あなた自身のクラウドの控えにも入ることがあります。 スマホの保管場所は、鍵を Google や Apple のアカウントに暗号化して控えることがあります。新しいスマホで受け取るためです。私たちには届きませんが、「この1台の中だけ」と言うと不正確です。
• あとで鍵を盗まれると、昔のメッセージは守れません。 LILAC は同じ鍵を長く使います。封筒を記録しておいた人が、あとでスマホから鍵を手に入れると、開けられてしまいます。Signal などは鍵をこまめに替えてこれを防ぎますが、LILAC はまだです。
• 最初の招待は「信じる」ことで成り立ちます。 招待が友だちに届く途中ですり替えられると、間に入られてしまいます。確かめ合うための番号はまだありません。目の前で QR を見せれば避けられます。
• 「パスワードを忘れた」ボタンはありません。 パスワードが無いからです。機種変更は、古いスマホと新しいスマホを並べて移すか、保存しておいた12語の合言葉を使います。スマホを失くし、どちらも無い場合、私たちはあなたの身分を戻せません。持っていないからです。

最後の点は、小さな注意書きではなく本当の引き換えです。「漏らすものが無い」ということは、「返してあげられるものも無い」ということです。

なぜ作ったのか

たった1人と話すために、銀行やログインにもつながる一生ものの番号を会社に預ける。そして大事に扱ってくれることを祈る。私たちはこの取引に慣れてしまいました。

一度会っただけの人、フリマの相手、1か月で解散する集まり。そういう連絡には、この取引は高すぎます。取り消せるリンクがあれば十分です。

LINE を教えるほどではない相手には、LILAC の招待リンクを渡してください。縁が切れたら、リンクを取り消すだけです。

LILAC は無料です。アカウントも、広告も、追跡もありません。

• iPhone: https://apps.apple.com/app/id6782758292
• Android: https://play.google.com/store/apps/details?id=app.lilac.android
• くわしくは: https://lila-c.com

1人で作っています。ここに書いたことで「それは違う」という点があれば、ぜひ教えてください。[email protected]